Vérifier un certificat SSL

Ce que NetCheck lit exactement

Quand vous lancez la vérification, NetCheck ouvre une connexion chiffrée vers le site, comme le ferait un navigateur, et récupère le certificat que le serveur présente. Aucune base de données intermédiaire : c'est le certificat réellement servi à cet instant.

Combien de temps un certificat est-il valable ?

Les règles du CA/Browser Forum, qui réunit autorités de certification et éditeurs de navigateurs, raccourcissent cette durée par étapes. Depuis mars 2026, un certificat public ne peut pas dépasser 200 jours de validité. Ce plafond passera à 100 jours en mars 2027, puis à 47 jours en mars 2029. Les certificats Let's Encrypt durent déjà 90 jours.

Conséquence pratique : le renouvellement à la main devient intenable. Si votre hébergeur ou votre serveur ne renouvelle pas automatiquement (via le protocole ACME, par exemple avec Certbot), c'est le moment de l'automatiser. Visez un renouvellement deux à trois semaines avant l'échéance, pour avoir le temps de réagir si l'automatisation échoue.

Les erreurs les plus fréquentes

• Certificat expiré : le renouvellement automatique a échoué sans bruit, souvent parce qu'un enregistrement DNS a changé ou qu'un pare-feu bloque la validation.
• Nom non couvert : le certificat couvre exemple.fr mais pas www.exemple.fr, ou l'inverse. Regardez la ligne « Couvre aussi » : les deux formes doivent y figurer.
• Chaîne incomplète : le serveur envoie le certificat du site mais oublie le certificat intermédiaire de l'autorité. Certains navigateurs le retrouvent seuls, d'autres non, d'où une erreur qui n'apparaît que sur certains appareils. Configurez le serveur avec le fichier « fullchain ».
• Certificat auto-signé : acceptable sur un réseau interne, jamais sur un site public.
• Contenu mixte : le certificat est bon, mais la page charge des images ou des scripts en http://. Le navigateur affiche alors un cadenas barré. Ce n'est pas un problème de certificat : il faut corriger les adresses dans la page.

DV, OV, EV : faut-il payer ?

Un certificat à validation de domaine (DV) prouve seulement que le demandeur contrôle le domaine. C'est ce que délivre Let's Encrypt, gratuitement, avec exactement le même chiffrement que les certificats payants. Les certificats OV et EV ajoutent une vérification de l'identité de l'entreprise, mais les navigateurs n'affichent plus cette différence dans la barre d'adresse depuis plusieurs années. Pour la très grande majorité des sites, un certificat DV gratuit et bien renouvelé suffit.

Les certificats « wildcard »

Un certificat *.exemple.fr couvre tous les sous-domaines d'un niveau, comme blog.exemple.fr ou boutique.exemple.fr, mais ni exemple.fr lui-même, ni a.b.exemple.fr. Il simplifie la gestion quand les sous-domaines sont nombreux, au prix d'un risque plus grand si sa clé privée fuit.

Une limite à connaître

Pour lire le certificat, NetCheck négocie la connexion en TLS 1.2, la version dans laquelle le certificat circule en clair pendant l'échange initial. La quasi-totalité des serveurs l'acceptent encore. Un serveur configuré exclusivement en TLS 1.3 renverra un message explicite : le site fonctionne, mais l'outil ne peut pas en lire le certificat.

Questions fréquentes

Mon certificat est valide mais le navigateur affiche une alerte : pourquoi ?

Le plus souvent : un nom non couvert (avec ou sans www), une chaîne incomplète, ou du contenu mixte chargé en http. Vérifiez aussi l'heure de l'appareil : une horloge décalée de plusieurs jours fait croire au navigateur qu'un certificat valide est expiré, ou pas encore actif.

Combien de jours avant l'expiration faut-il agir ?

Avec un renouvellement automatique, rien à faire : vérifiez simplement que la date recule régulièrement. Sans automatisation, renouvelez deux à trois semaines avant. En dessous d'une semaine, traitez-le comme une urgence.

Un certificat gratuit est-il moins sûr ?

Non. Le chiffrement est identique. Ce qui distingue un certificat payant, c'est la vérification d'identité, le support et parfois une garantie financière, pas la sécurité de la connexion.

Le cadenas garantit-il qu'un site est honnête ?

Non. Il garantit seulement que la connexion est chiffrée et que le certificat correspond au domaine. Un site d'hameçonnage peut tout à fait avoir un certificat valide. Regardez le nom de domaine, pas le cadenas.